Перейти к содержанию

Рекомендуемые сообщения

26.12.24 На файловом сервере (комп с Debian) в расшареных каталогах заметил текстовый файл !want_to_cry.txt 

Просканировал все каталоги доступные по сети (SMB) зашифрованные файлы с расширением .want_to_cry по времени создания файлов видно что шифровальщик проработал примерно с 24.12.24 20:05  по 25.12.24 03:05 после чего сервер "завис". Сейчас шифровщик не активен (новые шифрованные файлы не появляются). Доступа к сети извне нет, кроме SSH с ключом шифрования. В сети кроме моего во время активности были еще 2 компьютера под управление Windows.

 

!want_to_cry.txtПолучение информации...

Изменено пользователем FineGad
Ссылка на комментарий
Поделиться на другие сайты

Файлы

Addition.txtПолучение информации... FRST.txtПолучение информации... files.zipПолучение информации...

 

Зашифрованные файлы:  crypted_files.zip

Могу приложить их же, не зашифрованные если нужно.

Изменено пользователем FineGad
Ссылка на комментарий
Поделиться на другие сайты

Судя по логам FRST на этом устройстве нет следов запуска шифровальщика. Проверьте на оставшихся двух других было ли шифрование на них или нет.

Ссылка на комментарий
Поделиться на другие сайты

Следующая часть (марлезонского балета)

Может самому можно посмотреть (куда смотреть?)

Addition.txtПолучение информации... FRST.txtПолучение информации...

Изменено пользователем FineGad
Ссылка на комментарий
Поделиться на другие сайты

Смотреть можно в логи FRST по вновь созданным файлам.

Смотрите файлы, созданные по дате и времени, которые соответствуют дате и времени шифрования. Так же можно обратиться в ТП PRO32, если вы являетесь лицензионным пользователем данного продукта.

Ссылка на комментарий
Поделиться на другие сайты

  В 27.12.2024 в 09:24, safety сказал:

можно обратиться в ТП PRO32, если вы являетесь лицензионным пользователем данного продукта

Показать  

Я являюсь 30 дневным пользователем :)  

Ссылка на комментарий
Поделиться на другие сайты

  В 27.12.2024 в 08:24, FineGad сказал:

Следующая часть (марлезонского балета)

Показать  

На этом устройстве так же не видны следы запуска шифровальщика.

(Если только данный шифровальщик не настроен исключительно на шифрование сетевых дисков).

Ссылка на комментарий
Поделиться на другие сайты

  В 27.12.2024 в 09:53, safety сказал:

Если только данный шифровальщик не настроен исключительно на шифрование сетевых дисков

Показать  

Судя по всему так и есть, шифровались только файлы из сетевых папок файлового сервера. Сейчас активности нет, но хотелось бы прояснить 2 момента. 
1. Остался ли вирус на какой либо машине (просто сейчас не активен но через какое-то время может опять начать работать).

2. Учитывая что доступа извне нет, хотелось бы узнать хотя бы на какой машине было заражение.

Ссылка на комментарий
Поделиться на другие сайты

Как вариант, просканировать устройства штатным антивирусом, или KVRT, но сэмплы WTC еще не встречались. В каком виде они используются: скрипты, исполняемые exe не могу сказать.

Ссылка на комментарий
Поделиться на другие сайты

Гость
Эта тема закрыта для публикации ответов.
  • Похожий контент

    • BOBO
      Автор BOBO
      Попросили создать новую тему не знаю почему ту закрыли вот создаю. Меня тоже взломали 25 числа hdd весит на роутере, smb открыт был. Покапалься в файлах были несколько оригинальных файлов и вроде шифрование AES в режиме ECB. Встал вопрос можно ли найти ключ шифрования если например нашел зашифрованный блок пробелов 16 байт. 
    • KOMK
      Автор KOMK
      Доброго времени суток.
      Поймали шифровальщик.Атакована вся организация. Выясняем источник откуда и как,но раскидался он по рдп на как минимум 7 рабочих мест, включая серв  АД и 1С. Так же на одном из предполагаемых источников заражения была обнаружена программа Everything API и крипто-программа КАРМА,мб оно как-то даст какую-то полезность?
      А так же папка с файлами именованная как "automim1"?
      Скажите вообще есть ли надежда что как-то можно найти остатки шифровальщика? Шифрованные файлы и файл записку прилагаю в архиве с паролем "virus":
      Остальное не знаю как добавить,вес больше 5мб получается.
       
      sekr_2.7z
    • Игорь_Белов
      Автор Игорь_Белов
      Доброго времени суток. 
      Прошу помощи, словил вирус шифровальщик, недавно созданный сервер для теста 1с, поймал вирус, файлы баз данных зашифровались. 
      Прошу помочь в определение вируса, по возможности расшифровать. И как его побороть.
       
      scan.zip
    • __Михаил__
      Автор __Михаил__
      Добрый! 
      Пожалуйста, помогите расшифровать файлы на компьютере.
      Шифровальщик IxehUe8Rg.
      Файлы образцы и требование выкупа во вложении.
      Анализ_2.xlsx.rar
       
      Я так понимаю это CriptomanGizmo и с ним проблема.
      У меня есть несколько копий файлов не зашифрованных , с другого устройства.
      Может это поможет?
    • Stanislav42
      Автор Stanislav42
      Добрый день! Пострадало несколько windows-устройств от действий шифровальщика и вымогает за расшифровку деньги.
      Прошу оказать помощь в расшифровке файлов.
      Отправляю архив с образцами файлов и с текстом требований, а также логи FRST.
      Шифрование произошло в ночное время. Журнал событий Windows очищен. Устройства перезагружались.
      Системы изолированы на данный момент. Исполняемый файл найден и подготовлен к отправке. 
      образцы файлов.zip Addition.txt FRST.txt
×
×
  • Создать...